Elkeid - Plateforme de protection des charges de travail cloud de Bytedance

Anglais | 简体中文

Elkeid est une solution open source qui peut répondre aux exigences de sécurité de diverses charges de travail telles que les hôtes, les conteneurs, K8s et le serverless. Elle est issue des meilleures pratiques internes de ByteDance.

Avec le développement des activités des entreprises, la situation de multi-cloud, cloud natif et coexistence de multiples charges de travail devient de plus en plus prédominante. Nous espérons qu'il existe un ensemble de solutions capables de répondre aux exigences de sécurité sous différentes charges de travail, et c'est ainsi qu'Elkeid est né.

Introduction

Elkeid possède les capacités clés suivantes :

• Elkeid dispose non seulement de la capacité traditionnelle de HIDS (système de détection d'intrusion sur hôte) pour la détection d'intrusion au niveau hôte et l'identification de fichiers malveillants, mais il peut également identifier efficacement les comportements malveillants dans les conteneurs. L'hôte peut répondre aux exigences de sécurité anti-intrusion de l'hôte et des conteneurs qu'il héberge, et la puissante capacité de collecte de données au niveau noyau d'Elkeid peut satisfaire le désir de la plupart des analystes de sécurité pour les données au niveau hôte.

• Pour les applications en cours d'exécution, Elkeid possède la capacité RASP et peut être injecté dans le processus métier pour une protection anti-intrusion. Non seulement le personnel d'exploitation et de maintenance n'a pas besoin d'installer un autre agent, mais l'application n'a pas non plus besoin d'être redémarrée.

• Pour K8s lui-même, Elkeid prend en charge la collecte des Journaux d'audit K8s pour effectuer une détection d'intrusion et une identification des risques sur le système K8s.

• Le moteur de règles Elkeid HUB d'Elkeid peut également s'intégrer efficacement avec plusieurs systèmes externes.

Elkeid intègre ces capacités en une seule plateforme pour répondre aux exigences de sécurité complexes de différentes charges de travail, tout en réalisant une association de capacités multi-composants. Ce qui est encore plus rare, c'est que chaque composant a subi des quantités massives de données et des années de tests en conditions réelles chez ByteDance.

Description de l'édition communautaire Elkeid

Il est important de noter qu'il existe des différences entre la version open source d'Elkeid et la version complète. Les capacités open source actuelles incluent principalement :

• Toutes les capacités sur l'appareil, c'est-à-dire les capacités de collecte de données/actifs/partielles sur l'appareil, les capacités de collecte de données au niveau noyau, les parties de sonde RASP, etc., et sont cohérentes avec la version interne de ByteDance ;
• Toutes les capacités backend, à savoir l'Agent Center, la découverte de services, etc., sont cohérentes avec la version interne de ByteDance ;
• Fournit un moteur de règles d'édition communautaire, à savoir Elkeid HUB, et l'utilise comme exemple avec un petit nombre de stratégies ;
• Fournit la console Elkeid en édition communautaire et certaines capacités de support.

Par conséquent, pour disposer de capacités complètes de détection d'intrusion et de perception des risques, il est également nécessaire de construire des politiques basées sur Elkeid HUB et d'effectuer un traitement secondaire des données collectées par Elkeid.

Architecture Elkeid

Capacité hôte Elkeid

• Agent Elkeid Agent espace utilisateur Linux, responsable de la gestion des différents plugins, de la communication avec le serveur Elkeid.
• Pilote Elkeid Le pilote peut collecter des données sur le noyau Linux, prend en charge l'exécution de conteneurs, et communique avec le plugin du pilote Elkeid.
• RASP Elkeid Prend en charge les sondes d'exécution CPython, Golang, JVM, NodeJS, PHP, et permet une injection dynamique dans l'exécution.
• Liste des plugins de l'agent Elkeid
  • Plugin Pilote : Responsable de la gestion du pilote Elkeid et du traitement des données du pilote.
  • Plugin Collecteur : Responsable de la collecte des informations d'actifs/logs sur le système Linux, telles que la liste des utilisateurs, les tâches cron, les informations sur les paquets, etc.
  • Journal Watcher : Responsable de la surveillance des logs systemd, prend actuellement en charge la collecte et le reporting des logs liés à SSH.
  • Plugin Scanner : Responsable de la détection statique des fichiers malveillants sur l'hôte, prend actuellement en charge YARA.
  • Plugin RASP : Responsable de la gestion des composants RASP et du traitement des données collectées à partir de RASP.
  • Plugin Baseline : Responsable de la détection des risques de base conformément aux politiques de vérification de base.
• Format des données Elkeid
• Tutoriel d'utilisation des données Elkeid

Capacité backend Elkeid

• AgentCenter Elkeid Responsable de la communication avec l'agent, de la collecte des données de l'agent et de leur traitement simple avant de les envoyer dans MQ, et également responsable de la gestion de l'agent, y compris la mise à niveau de l'agent, la modification de la configuration, la distribution des tâches, etc.
• ServiceDiscovery Elkeid Chaque composant du backend doit s'enregistrer et synchroniser régulièrement les informations de service avec ce composant, afin de garantir que les instances dans chaque module de service sont visibles les unes pour les autres et faciliter la communication directe.
• Manager Elkeid Responsable de la gestion de l'ensemble du backend et fournit une API de requête et de gestion associée.
• Console Elkeid Interface frontale d'Elkeid.
• Elkeid HUB Moteur de règles HIDS d'Elkeid.

Liste des fonctionnalités Elkeid